漏洞详情

披露状态:

2014-09-20: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-11-04: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

车速递的ERP系统,可遍历更改订单,订单额,车牌号,等敏感信息科遍历,停车场订单可添加。
可扰乱内部订单系统业务数据。

详细说明:

bing搜索引擎直接搜索关键字,可见www.chesudi.com/的ERP后台

2.jpg


爆破就算了,看看ERP后台信息
1.可遍历任务订单,修改taskid即可

1.jpg


2.可操作停车场数据,并下载excel表格

3.jpg


3.可打印订单,点击查询,可查看敏感信息,车牌,订车价格等

6.jpg


4.ERP登陆后台对外暴露

7.jpg


漏洞证明:

6.jpg

修复方案:

增强授权访问控制

标签: none

评论已关闭